|
Sermaye Piyasası Kurulundan:
BİLGİ SİSTEMLERİ BAĞIMSIZ DENETİM TEBLİĞİ
(III-62.2)
BİRİNCİ BÖLÜM
Amaç, Kapsam, Dayanak ve Tanımlar
Amaç
MADDE 1 – (1) Bu Tebliğin amacı, 2 nci maddede sayılan
Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinin bağımsız denetimi ile
bu faaliyette bulunacak bağımsız denetim kuruluşlarının yetkilendirilmesine
ve denetim sonuçlarının raporlanmasına ilişkin usul ve esasları
belirlemektir.
Kapsam
MADDE 2 – (1) Bu Tebliğ, aşağıdaki Kurum, Kuruluş ve
Ortaklıkların bilgi sistemlerinin bağımsız denetiminde uygulanır:
a) Borsa İstanbul A.Ş.,
b) Borsalar ve piyasa işleticileri ile
teşkilatlanmış diğer pazar yerleri,
c) Emeklilik yatırım fonları,
ç) İstanbul Takas ve Saklama Bankası A.Ş.,
d) Merkezi Kayıt Kuruluşu A.Ş.,
e) Portföy saklayıcısı kuruluşlar,
f) Sermaye Piyasası Lisanslama Sicil ve Eğitim
Kuruluşu A.Ş.,
g) Sermaye piyasası kurumları,
ğ) Halka açık ortaklıklar,
h) Türkiye Sermaye Piyasaları Birliği,
ı) Türkiye Değerleme Uzmanları Birliği.
(2) Birinci fıkrada sayılan Kurum, Kuruluş ve
Ortaklıklardan, 6/12/2012 tarihli ve 6362 sayılı Sermaye Piyasası Kanununun
136 ncı maddesi uyarınca banka ve sigorta şirketleri ile 21/11/2012 tarihli
ve 6361 sayılı Finansal Kiralama, Faktoring ve Finansman Şirketleri Kanunu
uyarınca finansal kiralama, faktoring ve finansman şirketlerinin bilgi
sistemlerinin kendi özel mevzuatlarında belirlenen ilkeler çerçevesinde
denetlenmesi, bu Tebliğde öngörülen yükümlülüklerin yerine getirilmesi
hükmündedir. Söz konusu Kurum, Kuruluş ve Ortaklıklar, kendi özel
mevzuatlarına aykırı olmamak kaydıyla bilgi sistemleri bağımsız denetimi
raporlarının Kurul’a sunulmasında bu Tebliğ hükümlerine tabidirler.
(3) Bilgi sistemleri bağımsız denetimi, Kurul
tarafından sermaye piyasasında bilgi sistemleri bağımsız denetimi yapmakla
yetkilendirilmiş bağımsız denetim kuruluşları tarafından gerçekleştirilir.
Dayanak
MADDE 3 – (1) Bu Tebliğ, 6362 sayılı Kanunun 62 nci
maddesinin ikinci fıkrası, 72 nci maddesinin üçüncü fıkrası ile 128 inci
maddesinin birinci fıkrasının (c) ve (h) bentlerine dayanılarak
hazırlanmıştır.
Tanımlar
ve kısaltmalar
MADDE 4 –
(1) Bu Tebliğde geçen;
a) BDS: Kamu Gözetimi, Muhasebe ve Denetim
Standartları Kurumu tarafından yürürlüğe konulmuş olan Türkiye Denetim
Standartları ile bunlara ilişkin ek ve yorumları,
b) Bilgi sistemleri denetçisi: Yetkili kuruluş
tarafından görevlendirilmiş ve 15 inci maddede belirtilen unvanlarına yer
verilen denetçileri,
c) BSY Tebliği: Kurul’un VII-128.9 sayılı Bilgi
Sistemleri Yönetimi Tebliği’ni,
ç) Kanun: 6362 sayılı Kanunu,
d) KGK: Kamu Gözetimi, Muhasebe ve Denetim
Standartları Kurumunu,
e) Kontrol: Bilgi sistemleri süreçleriyle ilgili
olarak gerçekleştirilen ve iş hedeflerinin gerçekleştirilmesi, istenmeyen
olayların engellenmesi, belirlenmesi ve düzeltilmesine ilişkin yeterli
derecede güvenceyi oluşturmayı hedefleyen politikalar, prosedürler,
uygulamalar ve organizasyonel yapıların tamamını,
f) Kurul: Sermaye Piyasası Kurulunu,
g) Kurum, Kuruluş ve Ortaklıklar: 2 nci maddenin
birinci fıkrasında sayılan kurum, kuruluş ve ortaklıkları,
ğ) Seri:X No:22 Tebliği: 12/6/2006 tarih ve 26196
Mükerrer sayılı Resmî Gazete’de yayımlanan Seri:X No:22 sayılı Sermaye
Piyasasında Bağımsız Denetim Standartları Hakkında Tebliğini,
h) Sermaye Piyasası Kurumları: Kanunun 35 inci
maddesinde sayılan kurumları,
ı) Yetkili kuruluş: Sermaye piyasasında bilgi
sistemleri bağımsız denetimi faaliyetinde bulunmak üzere Kurulca
yetkilendirilmiş bağımsız denetim kuruluşunu,
ifade eder.
İKİNCİ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim Faaliyetlerine
İlişkin Genel Esaslar
Bilgi
sistemleri bağımsız denetiminin amacı ve kapsamı
MADDE 5 – (1) Bilgi sistemleri bağımsız denetimi, bilgi
sistemleri yönetimi ve işletimi kapsamında yer alan faaliyet, yazılım ve
donanım gibi bilgi sistemi unsurları ile bu sistem dâhilinde tesis edilen
kontrollerin BSY Tebliğinde düzenlenen bilgi sistemleri yönetim ilkeleri
doğrultusunda değerlendirilmesi sonucunda görüş oluşturulması ve rapora
bağlanması aşamalarından oluşan süreçtir.
(2) Bilgi sistemleri bağımsız denetiminin temel
amacı denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinin ve bu
sisteme ilişkin iç kontrollerinin BSY Tebliğinde düzenlenen bilgi
sistemleri yönetim ilkeleri doğrultusunda uyumluluk, etkinlik ve
yeterliliği hakkında görüş oluşturulmasıdır.
(3) Bilgi sistemleri denetçisi, bilgi sistemleri
kapsamında inceleyeceği sistem, faaliyet ve kontrol mekanizmalarını, risk
odaklı bir bakış açısıyla ve önemlilik kriterini esas alarak yazılı bir plan
dahilinde belirler. Bununla birlikte bilgi sistemleri denetçisi, önemlilik
kriteri çerçevesinde belirlediği denetimlerin kapsamının, bu Tebliğ
kapsamında oluşturacağı denetim görüşüne makul güvence sağlamak için
yeterli denetim kanıtı elde edecek şekilde olmasını temin eder.
Önemlilik
ve denetim riski
MADDE 6 – (1) Önemlilik, mesleki bilgi ve tecrübeye dayalı
bir mütalaa konusu olup; kontrol zayıflıkları sonucu ortaya çıkan ya da
çıkabilecek hataların, ihmallerin, prosedürlere aykırılıkların ve hukuka
aykırı fiillerin, denetlenen Kurum, Kuruluş ve Ortaklıkların finansal
verilerini raporlamalarına, güvenli ve kesintisiz hizmet sağlamalarına olan
ya da olabilecek etkisinin değerlendirilmesidir.
(2) Bilgi sistemleri bağımsız denetiminde önemlilik
kavramı, denetimin planlanması, gerekli alanlarda yoğunlaştırılması,
bulguların değerlendirilmesi ve raporlanması için kullanılabilir. Başta
finansal veriler olmak üzere denetlenen açısından hassasiyet arz eden
verilerin bütünlüğü, tutarlılığı, güvenilirliği, gereken durumlarda
gizliliği ve faaliyetlerin sürekliliği önemlilik kavramı kapsamında dikkate
alınması gereken temel unsurlardır.
(3) Finansal raporları etkileyen kontrollerin
değerlendirilmesinde, süreç veya sistem tarafından yürütülen finansal
işlemin değeri, işlem sıklığı gibi öğeler kullanılırken, finansal işlemlere
ilişkin olmayan kontrollerin değerlendirilmesinde ise iş sürecinin
kritikliği, sistem ve operasyonların maliyeti, hataların muhtemel
sonuçlarının büyüklüğü, bir zaman aralığında gerçekleşen işlem/sorgu
sayısı, tutulan dosyaların ve üretilen raporların niteliği, zamanlaması ve
kapsamı, hizmet seviyesi anlaşmalarının gerekleri ve ceza maddelerindeki
para cezası tutarları gibi öğeler kullanılır.
(4) Denetim riski, bilgi sistemleri denetçisinin
aşağıdaki risklere bağlı olarak doğru görüş vermemesi olasılığıdır:
a) Yapısal risk: Kontrolün olmaması nedeniyle, en
azından kayda değer olan bir kontrol eksikliğinin var olması riskini ifade
eder.
b) Kontrol riski: Kontrolün layıkıyla çalışmaması
sebebiyle, en azından kayda değer olan bir kontrol eksikliğini önleyememesi,
ortaya çıkaramaması veya zamanında düzeltememesi riskini ifade eder.
c) Tespit riski: Bilgi sistemleri denetçisinin,
denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinde yer alan en
azından kayda değer olan bir kontrol eksikliğini ortaya çıkaramaması
riskini ifade eder.
(5) Önemli veya kayda değer kontrol eksikliği
riski: Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinde en
azından kayda değer olan bir kontrol eksikliğinin bulunması riskini ifade
eder. Önemli ya da kayda değer kontrol eksikliği riski, yapısal risk ve
kontrol riskinden kaynaklanır.
(6) Bilgi sistemleri denetçisi, denetim riskini
makul düzeye indirebilmek için, önemli veya kayda değer kontrol eksikliği
riskinin yüksek olduğu alanlarda tespit riskini düşürecek şekilde uygun
denetim tekniklerini kullanır.
Kriterler
MADDE 7 – (1) Bilgi sistemleri denetçisi, incelemeleri
neticesinde ulaştığı tespitlere konu kontrol zayıflıkları ve eksikliklerini
önemlilik kavramına göre tasnif etmede aşağıda belirtilen kriterleri
kullanır:
a) Kontrol zayıflığı: Bir kontrolün tasarımının
veya işletilmesinin, hataları zamanında önleme ve tespit etmeye olanak
sağlamaması durumudur.
i) Tasarımdaki kontrol eksikliği, bir kontrol
hedefinin gerçekleşmesini sağlayacak kontrolün bulunmaması ya da var olan
bir kontrolün tasarlandığı şekilde çalışıyor olsa bile tasarımındaki
hatalardan dolayı kendisinden beklenen kontrol hedefini gerçekleştirememesi
durumudur.
ii) İşletimdeki kontrol eksikliği, düzgün
tasarlanmış bir kontrolün tasarlandığı şekilde çalışmaması ya da kontrolü
gerçekleştiren personelin, kontrolün etkin bir şekilde yerine getirilmesi
için gerekli yetki ve yeterliliğe sahip olmaması durumudur.
b) Kayda değer kontrol eksikliği: Denetlenen Kurum,
Kuruluş ve Ortaklıkların verilerinin bütünlüğünün, tutarlılığının,
güvenilirliğinin ve gereken durumlarda gizliliğinin sağlanmasına,
faaliyetlerinin devamlılığının teminine olumsuz etki yapması muhtemel bir
kontrol zayıflığı veya birkaç kontrol zayıflığının bir araya gelmesi sonucu
oluşan önemsiz sayılamayacak eksiklik olarak tanımlanır. Denetlenen Kurum,
Kuruluş ve Ortaklıkların finansal verilerinin güvenilir bir şekilde genel
kabul görmüş muhasebe standartlarına uygun olarak kaydedilmesi, kayıtların
yetkilendirilmesi, işlenmesi veya raporlanması sırasında oluşan hataların
ve ihmallerin önlenmesine olumsuz etki yapması muhtemel eksiklikler de bu
kapsamda değerlendirilir.
c) Önemli kontrol eksikliği: Denetlenen Kurum,
Kuruluş ve Ortaklıkların dönemsel olarak yaptığı finansal raporlamalarda
önemli bir yanlışlığın önlenmesini veya düzeltilmesini engelleyecek veya
denetlenen Kurum, Kuruluş ve Ortaklıkların bünyesinde yürütülen
faaliyetlere ilişkin bilgilerin bütünlüğünün ve tutarlılığının,
güvenilirliğinin, devamlılığının ve gereken durumlarda gizliliğinin
sağlanmasına önemli olumsuz etki yapması kuvvetle muhtemel bir veya birkaç
kontrol zayıflığının bir araya gelmesidir.
Etkinlik,
yeterlilik ve uyumluluk
MADDE 8 – (1) Bir kontrolün tasarımının etkin olarak kabul
edilebilmesi için, tasarımdaki kontrol eksikliğinin bu kontrol bünyesinde
bulunmaması veya bulunsa dahi önemli kontrol eksikliğine sebebiyet
vermemesi gerekir.
(2) Bir kontrolün işletiminin etkin olarak kabul
edilebilmesi için, işletimdeki kontrol eksikliğinin bu kontrol bünyesinde
bulunmaması veya bulunsa dahi önemli kontrol eksikliğine sebebiyet
vermemesi gerekir.
(3) Bilgi sistemleri kontrollerinin yeterli olması,
önemlilik ilkesi çerçevesinde denetime tabi tutulan tüm kontrollerin
tasarımlarının etkin olduğunu ve bu kontrollerin iş hedefleri çerçevesinde
kendilerinden beklenen sonucu üretebilecek ve maruz kalınabilecek riskleri
telafi edebilecek şekilde tasarlandıklarını ifade eder.
(4) Bilgi sistemleri kontrollerinin etkin olması,
önemlilik ilkesi çerçevesinde denetime tabi tutulan tüm kontrollerin
işletimlerinin etkin olduğunu ve bu kontrollerin, kendilerinden beklenen
işlevleri ve kontrol hedeflerini yerine getirdiklerini ifade eder.
(5) Bir kontrolün uyumlu sayılabilmesi için
kontrole ilişkin Kanun ve bu Kanuna istinaden yayımlanan alt düzenlemeler
ve talimatlarda yer alan hususların ve yükümlülüklerin tamamının
karşılanması gerekir. Bilgi sistemleri kontrollerinin uyumlu olması, önemlilik
ilkesi çerçevesinde denetime tâbi tutulan tüm kontrollerin uyumlu olduğunu
ifade eder.
Bilgi
sistemleri bağımsız denetimi ile bağımsız denetimin ilişkisi
MADDE 9 – (1) Bağımsız denetim ile bilgi sistemleri bağımsız
denetimi, birbirlerinin kapsam ve sonucunu etkileyecek hususlar ihtiva
etmeleri nedeni ile etkileşimli bir yaklaşım içinde planlanır ve uygulanır.
(2) Bilgi sistemleri denetçisi, bilgi sistemleri
bağımsız denetiminin kapsamını belirlerken ve bu kapsamdaki çalışmalarını
yürütürken; denetim görüşünü destekleyecek düzeyde yeterli denetim kanıtı
elde edilmesinin yanı sıra, bağımsız denetime ilişkin denetim riski
değerlendirmelerini desteklemek için de denetim kanıtı elde edilmesini gözetir.
(3) Bilgi sistemleri bağımsız denetimine ilişkin
görüşün “şartlı”, ”olumsuz” ya da “görüş bildirmekten kaçınma” şeklinde
olması durumunda; görüş ve görüşe esas teşkil eden tespitler bağımsız
denetçiye yazılı olarak iletilir. Bu husustaki sorumluluk Kurum, Kuruluş ve
Ortaklıkların yönetim kuruluna aittir.
(4) Bağımsız denetçi tarafından, bağımsız denetim
çalışmalarında kullanılmak üzere bilgi sistemleri ve denetimine ilişkin
talep edilen bilgi ve belgelerin, bilgi sistemleri denetçisi tarafından
bağımsız denetçiye iletilmesi esastır.
İç
kontrol ve iç denetim sistemine ilişkin değerlendirme
MADDE 10
– (1) Bilgi sistemleri
denetçisinin bilgi sistemleri kontrolleriyle sınırlı olmak üzere denetlenen
Kurum, Kuruluş ve Ortaklıkların iç kontrol ve iç denetim sistemleri
bünyesinde önemlilik kriteri çerçevesinde yürüttüğü çalışmalara ilişkin
olarak BDS 315 İşletme ve Çevresini Tanımak Suretiyle Önemli Yanlışlık
Risklerinin Belirlenmesi Standardı ile BDS 610 İç Denetçi Çalışmalarının
Kullanılması Standardında yer alan hükümler kıyasen uygulanır.
ÜÇÜNCÜ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim Faaliyetinde
Bulunma Şartları
Yetkilendirilecek
kuruluşlarda aranan şartlar
MADDE 11
– (1) Bilgi sistemleri bağımsız
denetimi yapmak üzere yetkilendirilecek bağımsız denetim kuruluşlarının;
a) Sermaye piyasasında bağımsız denetimle yetkili
kuruluşlar listesinde yer alması,
b) Bilgi sistemleri bağımsız denetimi
faaliyetlerini yürütecek düzeyde yeterli sayı ve nitelikte bilgi sistemleri
denetçisi istihdam etmesi,
c) Yeterli teknik donanım, belge ve kayıt düzenine
sahip olması,
şarttır.
Bilgi
sistemleri denetçisine ilişkin şartlar
MADDE 12
– (1) Bilgi sistemleri bağımsız
denetimi yapmak üzere görevlendirilecek denetçi yardımcısı dışında kalan
denetçilerin;
a) Bilgi Sistemleri Bağımsız Denetim Lisans Belgesi
veya Bilgi Sistemleri Denetim ve Kontrol Birliği (ISACA) tarafından verilen
Bilgi Sistemleri Denetçisi Sertifikasına (CISA) sahip olmaları,
b) Bilgi sistemleri bağımsız denetimi için yeterli
mesleki bilgi ve 15 inci maddede belirtilen mesleki tecrübeye sahip
olmaları,
c) Müflis olmamaları, yüz kızartıcı ve bilişim alanındaki bir
suçtan mahkûm bulunmamaları,
ç) Sermaye piyasası mevzuatı veya diğer mevzuat
uyarınca bağımsız denetim veya bilgi sistemleri bağımsız denetim yapma
yetkisi iptal edilmiş olan kuruluşlarda yetki iptaline neden olan bağımsız
denetim faaliyetlerinde sorumluluklarının tespit edilip bağımsız denetim
faaliyetinde bulunmaktan sürekli olarak yasaklanmamış ve bağımsız denetim
faaliyetinde bulunması süreli olarak yasaklananların ise yasaklarının
süresi sonunda Kurulca kaldırılmış olması,
d) Faaliyet yetki belgelerinden biri veya birden
fazlası iptal edilmiş yahut borsa üyeliği iptal edilmiş kuruluşlarda
iptalde sorumluluğu bulunan kişilerden olmaması,
e) Mülga 2499 sayılı Sermaye Piyasası Kanunu ve
Kanuna muhalefetten dolayı haklarında verilmiş mahkûmiyet kararının
bulunmaması,
f) Türkiye'de yerleşik olmaları,
g) İlgili mevzuat çerçevesinde sermaye
piyasalarında işlem yapmalarının yasaklanmış olmaması,
ğ) Çalışılan bağımsız denetim kuruluşunda tam
zamanlı görev yapmaları,
şarttır.
(2) Bilgi sistemleri denetçi yardımcılarının
birinci fıkranın (c), (ç), (d), (e), (f), (g) ve (ğ) bentlerinde sayılan
koşullara sahip olmaları ve 4 yıllık lisans mezunu olmaları zorunludur.
Kurula
başvuru ve yetkilendirme
MADDE 13
– (1) Sermaye piyasasında bilgi
sistemleri bağımsız denetimi faaliyetlerinde bulunmak isteyen bağımsız
denetim kuruluşları aşağıda yazılı hususları içeren bilgi ve belgeler ile
Kurul’a başvururlar:
a) Bilgi sistemleri bağımsız denetiminde görev
alacak bilgi sistemleri denetçilerinin mesleki tecrübelerini, lisans
belgelerini, denetimle ilgili aldıkları eğitimleri, varsa katılmış olduğu
denetim çalışmaları ve bu çalışmalarda almış oldukları görevleri de içeren
ayrıntılı özgeçmişleri, ikametgah adresine, adli sicil kaydının
bulunmadığına, müflis olunmadığına ve mesleki faaliyetler dışında ticari
hiçbir işle uğraşılmadığına ilişkin beyan, lisans ve/veya lisansüstü
eğitimlerine ilişkin diplomalarının/mezuniyet belgelerinin birer örneği,
b) Bilgi sistemleri ve bilgi bağımsız sistemleri
denetimine ilişkin aldığı veya verdiği eğitimlere ilişkin belgelerin birer
örneği,
c) Bilgi sistemleri bağımsız denetimlerinde
görevlendirilecek denetim kadrosunun unvan bazında dağılımına ilişkin
liste,
ç) Bilgi sistemleri bağımsız denetimi faaliyeti
sırasında bağımsızlıklarının ortadan kalkması durumunda verilen denetim
hizmetinden çekileceğini taahhüt etmesine yönelik yazılı taahhüt belgesi,
d) Donanım, belge ve kayıt düzenine ilişkin bilgi
ve belgeler,
e) Merkezi yurtdışında bulunan bir başka şirket ile
hukuki bir bağlantının bulunması durumunda söz konusu şirket ile yapılan
sözleşmenin bir örneği,
f) Bilgi sistemleri bağımsız denetiminden doğabilecek
zararları karşılamak amacıyla mesleki sorumluluk sigortası yaptırılacağına
ilişkin beyan.
(2) Sermaye piyasasında bilgi sistemleri bağımsız
denetimi yapma yetkisi almak üzere başvuruda bulunan bağımsız denetim
kuruluşlarının birinci fıkrada belirtilen bilgi ve belgeler kapsamında
değerlendirilerek mesleki ve teknik açıdan yeterliliklerinin tespitine
yönelik olarak Kurul tarafından yerinde incelemede bulunulması neticesinde,
faaliyet konularını yürütebilecek yeterliliğe sahip oldukları kanaatine varılması
halinde, söz konusu bağımsız denetim kuruluşlarına Kurulca sermaye
piyasasında bilgi sistemleri bağımsız denetimi yapma yetkisi verilir.
(3) Kurul, başvuruların değerlendirilmesi
sırasında, gerekli görülmesi halinde ek bilgi ve belge isteyebilir. Kurulca
eksikliği tespit edilen veya ek olarak istenen bilgi ve belgelerin,
kuruluşa bildirim tarihini müteakip en geç bir ay içerisinde Kurula
gönderilmesi zorunludur. Belirtilen sürenin aşılması halinde ilgili
kuruluşun başvurusu işlemden kaldırılır.
(4) Bu Tebliğ kapsamında bilgi sistemleri bağımsız
denetimi yapma yetkisinin verilmesine ilişkin koşulların sürekli olarak
sağlanması zorunludur. Kurul gerekli gördüğü durumlarda bu koşulların
sağlanıp sağlanmadığını kontrol edebilir.
(5) Bu Tebliğ kapsamında bilgi sistemleri bağımsız
denetimi yapma yetkisi verilen bağımsız denetim kuruluşlarının unvanları
Kurul internet sitesinde duyurulur.
Bilgi
sistemleri bağımsız denetim yetkisinin kaldırılması
MADDE 14
– (1) Kanunun ilgili hükümleri
çerçevesinde, aşağıda yer alan aykırılıkların varlığı halinde yetkili
kuruluşun, sermaye piyasasında bilgi sistemleri bağımsız denetimi yapma
yetkisi Kurulca iptal edilebilir:
a) 11 inci maddede yer verilen yetkilendirilecek
kuruluşlarda aranan şartların kaybedilmesi,
b) Görev kabulüne ve değişimine ilişkin standart,
ilke ve kurallara uyulmaması,
c) Denetim planı ve çalışma kağıtları ile bunları
destekleyici diğer bilgi ve belgelerin denetim çalışmasını kanıtlayacak
düzeyde bulunmaması,
ç) Denetimlerde Kurula bildirilen bilgi sistemleri
bağımsız denetim sözleşmesinde ve bilgi sistemleri bağımsız denetim
kadrosunda yer alanlar dışında fiilen başka denetçilerin görevlendirilmesi,
d) Uygun denetim tekniklerinin kullanılmaması
nedeniyle gerekli denetim kanıtlarının elde edilememesi,
e) Yetkili kuruluşun bilgi sistemleri bağımsız
denetimini yaparken, denetlenen Kurum, Kuruluş ve Ortaklıkların
varlıklarının korunmasını, faaliyetlerin Kanuna ve ilgili diğer mevzuata
uygun olarak yürütülmesini, muhasebe ve finansal raporlama sisteminin
güvenilirliğini, bütünlüğünü ve bilgilerin zamanında elde edilmesini önemli
ölçüde olumsuz etkileyecek hususları tespit edemediğinin Kurulca tespit
edilmesi halinde, yetkili kuruluşun bu hususların tespit edilememesinde
kusurlu olmadığını kanıtlayamaması,
f) Yapılan bilgi sistemleri bağımsız denetim
çalışmalarında, sorumlu bilgi sistemleri başdenetçisi dahil denetim
ekibinin dürüstlük, tarafsızlık, mesleki yeterlilik ve özen, bağımsızlık,
güvenilirlik ve mesleki davranış gibi etik ilkelere uymaması,
g) Bildirim yükümlülüklerinin zamanında, tam ve
doğru olarak yerine getirilmemesi ya da Kurulca veya Kurul tarafından
görevlendirilenlerce istenen bilgi ve belgelerin zamanında, istenildiği
şekilde tam ve doğru olarak verilmemesi,
ğ) Hatalı, eksik, yanıltıcı ve gerçeğe aykırı bilgi
sistemleri bağımsız denetim raporu düzenlenmesi,
h) Mesleki sorumluluk sigortasının bilgi sistemleri
bağımsız denetimini de kapsayacak şekilde yaptırılmaması,
ı) Kesintisiz olarak 5 yıl süreyle fiilen bilgi
sistemleri bağımsız denetim faaliyetinde bulunulmamış olması.
(2) Birinci fıkranın (f) bendinde belirtilen
hususlarda bir sorumluluk tespit edilmesi halinde, sorumluluğun içeriğine
göre, Kurul sadece ilgili sorumlu bilgi sistemleri başdenetçi ve/veya bilgi
sistemleri başdenetçi ve/veya bilgi sistemleri kıdemli denetçi ve/veya
bilgi sistemleri denetçilerinin sermaye piyasasında bilgi sistemleri
bağımsız denetimi yapmasını 2 yıldan az olmamak kaydı ile süreli veya
süresiz olarak yasaklayabilir. Bu fıkra kapsamında sermaye piyasasında
bilgi sistemleri bağımsız denetimi yapması yasaklanan denetçiler, söz
konusu yasağın süresi sonunda yasağın kaldırılması için Kurul’a
başvurabilirler; aksi takdirde yasak süresiz olarak uygulanır. Sermaye
piyasasında bilgi sistemleri bağımsız denetimi yapması süreli olarak
yasaklanan denetçilerin yasak süresi sonunda yasağın kaldırılması için
Kurula yapacakları başvurular, ilgili hakkında devam etmekte olan bir inceleme
olup olmadığı da dikkate alınarak Kurulca değerlendirilerek karara
bağlanır. Yasak süresi içerisinde yasağın kaldırılması amacıyla Kurul’a
yapılacak başvurular dikkate alınmaz.
(3) Yetkinin süreli veya süresiz olarak
kaldırılmasından önce ilgili yetkili kuruluşun ve/veya bilgi sistemleri
denetçisinin savunması alınır. Savunma istendiğine ilişkin yazının tebliğ
tarihinden itibaren bir ay içinde savunma verilmemesi halinde savunma
hakkından feragat edildiği kabul edilir.
(4) Yetkili kuruluşun bilgi sistemleri bağımsız
denetimi yapma yetkisinin kaldırılması, bağımsız denetim yapma yetkisinin
de kaldırıldığı anlamına gelmez. Yetkili kuruluşun bağımsız denetim yapma
yetkisinin kaldırılması halinde ise, bilgi sistemleri bağımsız denetimi
yapma yetkisi de hiçbir işleme gerek kalmaksızın kaldırılmış sayılır.
Denetçi
unvanları
MADDE 15
– (1) Bilgi sistemleri
denetçileri, kıdem sırasına göre sorumlu bilgi sistemleri başdenetçisi,
bilgi sistemleri başdenetçisi, bilgi sistemleri kıdemli denetçisi, bilgi
sistemleri denetçisi ve bilgi sistemleri denetçi yardımcısı unvanlarını
alırlar.
(2) Bilgi sistemleri denetçisinin, üniversitelerin
veya denkliği yetkili makamlarca kabul edilen yurtdışındaki yükseköğretim
kurumlarının dört yıllık lisans programlarını tamamlamış olması, fiilen en
az üç yıl mesleki tecrübeye sahip olması ve Bilgi Sistemleri Denetim ve
Kontrol Birliği (ISACA) tarafından verilen Bilgi Sistemleri Denetçisi
Sertifikası (CISA) veya Bilgi Sistemleri Bağımsız Denetim Lisans Belgesine
sahip olmaları zorunludur.
(3) Bilgi sistemleri kıdemli denetçisinin, bilgi
sistemleri denetçisi unvanını haiz olabilmek için aranan şartlara sahip
olması ve fiilen en az 6 yıl mesleki tecrübeye sahip olması zorunludur.
(4) Bilgi sistemleri başdenetçisinin bilgi
sistemleri denetçisi unvanına haiz olabilmek için aranan şartları sahip
olması ve fiilen en az 10 yıl mesleki tecrübeye sahip olması zorunludur.
(5) Dördüncü fıkradaki şartları taşıyanlar Kurulca
yapılan değerlendirmeler sonucunda uygun görülmesi halinde sorumlu bilgi
sistemleri başdenetçisi unvanına sahip olurlar. Kurulca yapılacak
değerlendirmede sorumlu bilgi sistemleri başdenetçisinin denetim
raporlarını şirket adına imzalama yetkisi ve sorumluluğu olduğuna dair
beyan ve taahhütleri içeren yönetim kurulu kararı aranır.
(6) Sorumlu bilgi sistemleri başdenetçisi, bağımsız
denetim kuruluşunda bilgi sistemleri başdenetçi unvanını haiz ve bilgi
sistemleri bağımsız denetim çalışmasını kuruluş adına kendi kişisel
sorumluluğu ile yürüten ve kuruluş adına denetim raporlarını imzalamaya
yetkili olan gerçek kişidir.
(7) Bilgi sistemleri bağımsız denetimi, profesyonel
bilgi sistemleri kontrolü veya güvenliği, bilgi sistemleri geliştirme ve
işletimi faaliyetlerinin herhangi birinde ya da birkaçında geçirilen
sürelerin toplamı bu Tebliğ kapsamında mesleki tecrübe olarak kabul edilir.
(8) Tecrübe şartlarının değerlendirilmesinde Bilgi
Sistemleri Denetçisi Sertifikası (CISA), İç Denetçi Sertifikası (CIA) ve
bilgi sistemleriyle ilgili alanlarda alınan yüksek lisans derecesi ilave 1
yıl, bilgi sistemleriyle ilgili alanlarda alınan doktora derecesi ilave 2
yıl bilgi sistemleri bağımsız denetimi tecrübesi olarak sayılır.
(9) Sorumlu bilgi sistemleri başdenetçiliği unvanı
haricindeki diğer unvanlara yapılan terfiler yetkili kuruluşlar tarafından
yapılır. Bilgi, yetenek ve liyakatleri bir üst kıdemin gerektirdiği
nitelikte olmayanlar tecrübe şartını sağlasalar dahi bir üst unvana terfi
ettirilemezler.
(10) Bu Tebliğ kapsamındaki yetkili kuruluşların
bilgi sistemleri bağımsız denetiminde görevlendirilmiş mensuplarının
tümünün, yılda en az 20 saat, 3 yılda en az 80 saat bilgi sistemleri
bağımsız denetimi alanında sürekli eğitim almaları veya vermeleri zorunludur.
Ekip
çalışmasında görev, yetki ve sorumluluk dağılımı
MADDE 16
– (1) Her bir denetim için en az
biri asil ve biri yedek olmak üzere iki kişiden oluşan bir denetim ekibi
oluşturulur ve her bir denetim en az bir kişi olmak üzere işin gerektirdiği
sayı ve nitelikte denetçilerden oluşan ekip tarafından gerçekleştirilir.
Sorumlu bilgi sistemleri başdenetçisi başkanlığında, bilgi sistemleri
başdenetçisi, bilgi sistemleri kıdemli denetçisi veya bilgi sistemleri
denetçisinden oluşan ekiplerdeki görev, yetki ve sorumluluk dağılımı
aşağıdaki kıstaslara göre yapılır:
a) Sorumlu bilgi sistemleri başdenetçisi,
denetçilerin görev, yetki ve sorumluluklarına ilave olarak, bilgi sistemlerinin
BSY Tebliğine uygunluğu konusunda karar vermekle yükümlüdür.
b) Bilgi sistemleri başdenetçisi ve bilgi
sistemleri kıdemli denetçisi, denetim faaliyetlerinin planlanması, yürütülmesi,
çalışma kağıtlarının incelenmesi, gereken revizyonların yapılması ve
denetlenen Kurum, Kuruluş ve Ortaklıkların yetkilileri ile görüşülmesi gibi
konularda denetçilerin sorumluluklarını paylaşır, önemli durumlarda son
kararı vermesi için sorumlu bilgi sistemleri başdenetçisine başvurur.
c) Bilgi sistemleri denetçisi, denetim programının
hazırlanması gibi işin ayrıntılı çalışmalarından sorumludur. Bilgi sistemleri
denetçisi, denetçi yardımcılarını işe tahsis etmek, onların çalışmalarına
nezaret etmek ve hazırladıkları çalışma kağıtlarını incelemek, işin daha
karmaşık ve zor bölümlerini bizzat yürütmek, çalışma programında gereken
değişiklikleri yapmak ve çalışmaları süresince Kurum, Kuruluş ve
Ortaklıklarla olan görüşmeleri yürütmek gibi konularda yetkili ve
yükümlüdür.
Yetkili
kuruluşlar ve denetçilerin uyacakları etik ilkeler
MADDE 17
– (1) KGK tarafından yayımlanan
Bağımsız Denetçiler İçin Etik Kurallar yetkili kuruluşlar ve bilgi
sistemleri denetçilerinin uyacakları etik ilkeler bakımından kıyasen
uygulanır.
DÖRDÜNCÜ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim Faaliyetlerine
İlişkin
Yükümlülükler ve Denetim Metodolojisi
Denetlenen
Kurum, Kuruluş ve Ortaklıkların yükümlülükleri
MADDE 18
– (1) Denetlenen Kurum, Kuruluş ve
Ortaklıklar, bilgi sistemleri dokümantasyonunu ve bu dokümantasyonla ilgili
her türlü kayıt, bilgi, belge, yapı ve sistemlerini denetime uygun ve hazır
hale getirmek zorundadır.
(2) Denetlenen Kurum, Kuruluş ve Ortaklıklar, bilgi
sistemleri denetçisinin bilgi sistemleri bağımsız denetimine yönelik talep
ettiği her türlü bilgi ve belgeyi vermekle yükümlüdür.
(3) Kurum,
Kuruluş ve Ortaklık, varsa bilgi sistemleri denetçisi tarafından talep
edilen iç denetim raporlarının bir örneğini denetçiye iletir ve bilgi
sistemleri denetçisi ile denetlenen Kurum, Kuruluş ve Ortaklıkların iç
denetçileri arasındaki işbirliğinin sağlanması için gerekli tedbirleri
alır. İç denetçilerin yetkili kuruluşun denetçileri tarafından yöneltilen
soruları zamanında yanıtlamalarını ve açıklık getirmelerini sağlar.
(4) Bilgi sistemleri denetçilerince yapılacak
tespitler hakkında denetlenen Kurum, Kuruluş ve Ortaklıklar yönetim
kurulunun bilgilendirilmesi ile denetçiler ile yönetim kurulu üyeleri ve
denetlenen Kurum, Kuruluş ve Ortaklıklar personeli arasında koordinasyonun
sağlanması denetlenen Kurum, Kuruluş ve Ortaklıkların yönetim kurulunun
sorumluluğundadır.
(5) Denetlenen Kurum, Kuruluş ve Ortaklıklar, bilgi
sistemlerine ilişkin iç kontrolleri hakkında denetim dönemi itibariyle
güvence veren ve yönetim kurulu tarafından onaylanmış olan yönetim beyanını
bilgi sistemleri denetçisine sunmakla yükümlüdür. Yönetim beyanı, Tebliğin
1 numaralı ekinde yer verilen hususları içerecek şekilde hazırlanır.
(6) Denetlenen Kurum, Kuruluş ve Ortaklıklar,
denetim raporunda ortaya konulan tespitlerin çözümlerine ilişkin
taahhütlerini bir aksiyon planı ile karara bağlar ve uygularlar. Aksiyon
planının yürütülmesinin ve bu planda yer alan taahhütlerin zamanında ve
eksiksiz olarak yerine getirilmesinin sağlanmasından denetlenen Kurum,
Kuruluş ve Ortaklıkların yönetim kurulu sorumludur.
(7) Denetlenen Kurum, Kuruluş ve Ortaklıkların
faaliyet gösterdiği alana ilişkin özel mevzuat hükümleri saklıdır.
Yetkili
kuruluşların ve denetçilerin yükümlülükleri
MADDE 19
– (1) Bilgi sistemleri denetçileri
mesleğin zorunlu kıldığı mesleki ilkelere ve etik ilkelere uymak, bilgi
sistemleri içerisinde yer alabilecek riskleri ve zayıflıkları dikkate
alarak ve mesleki şüphecilik çerçevesinde bir denetim planı hazırlamak,
denetlenene sunmak ve uygulamak, yöneticilerin açıklamalarını yeterli
denetim kanıtı olarak kabul etmemek ve denetim raporunu oluşturmak ile
yükümlüdür.
(2) Seri:X, No:22 Tebliği hükümleri uyarınca
bağımsız denetim kuruluşlarınca tesis edilmesi gerekli olan kalite güvence
sistemi, yetkili kuruluşlar tarafından yapılan bilgi sistemleri bağımsız
denetim çalışmalarını ve bilgi sistemleri bağımsız denetim raporlarını da
kapsayacak şekilde yürütülür.
(3) Bilgi sistemleri denetçisi, ortaya çıkan hata
ve suiistimaller hakkında denetlenenin yöneticilerine ve denetlenen Kurum,
Kuruluş ve Ortaklıkların denetimden sorumlu komitesine her aşamada yazılı
olarak bilgi vermek zorundadır.
(4) 13 üncü maddede belirtilen belge ve
beyanlardaki değişikliklerin altı işgünü içerisinde Kurula bildirilmesi
zorunludur. Denetim kadrosunda meydana gelen değişiklikler, gerekçeleri ile
birlikte Kurul’a bildirilir.
(5) Yetkili kuruluşlar, istihdam ettikleri bilgi
sistemleri denetçilerinin süreklilik arz edecek şekilde eğitim
programlarına katılmalarını sağlamakla yükümlüdür.
(6) Bilgi sistemleri bağımsız denetim faaliyeti
sırasında, esas alınan mevzuat hükümlerine uymayan işlemlerin veya olumsuz
görüş oluşturmaya veya görüş vermemeye yol açabilecek herhangi bir
gelişmenin tespit edilmesi durumunda, denetlenen Kurum, Kuruluş ve
Ortaklıklar bunları gidermiş olsa dahi, bu hususun öğrenildiği tarihten
itibaren on işgünü içinde bilgi sistemleri denetçisi tarafından Kurul’a
yazılı olarak bildirilmesi zorunludur. Kanuna ve diğer kanunlara göre
konusu suç teşkil eden hallerde durumun ivedi olarak yetkili mercilere
intikali sağlanır ve ayrıca Kurul’a yazılı olarak bilgi verilir.
(7) Bilgi sistemleri denetçisi, bilgi sistemleri
bağımsız denetimi sırasında ortaya çıkan, aşağıda belirtilen konular da
dâhil olmak üzere, önemli bulduğu her konuda denetlenen Kurum, Kuruluş ve
Ortaklıkları veya yöneticilerini, yazılı veya sözlü olarak derhal
bilgilendirir:
a) Muhtemel kısıtlamalar ve ilave çalışmalar da
dâhil olmak üzere bilgi sistemleri bağımsız denetiminin genel yaklaşımı ve
kapsamı,
b) Bilgi sistemleri üzerinde önemli bir etkisi olan
ya da olabilecek politika oluşturma süreci ile ilgili aksaklıklar, politika
uygulamalarındaki sorunlar ya da politika uygulamalarındaki değişiklikler,
c) Denetlenen Kurum, Kuruluş ve Ortaklıkların
faaliyetlerinin sürekliliği üzerinde şüphe uyandırabilecek belirsizlikler,
ç) Bilgi sistemlerine veya denetim raporuna önemli
etkisi olabilecek konularda denetlenen Kurum, Kuruluş ve Ortaklık
yöneticileri ile olan görüş ayrılıkları,
d) Bilgi sistemleri içerisinde yer alan önemli
zayıflıklar ve riskler.
(8) Sözlü olarak bilgilendirmenin yapıldığı
durumlarda bilgi sistemleri bağımsız denetçisi, bildirilen hususlara ve
alınan cevaplara çalışma kâğıtlarında yer verir.
(9) Bilgi sistemleri denetçileri, bilgi sistemleri
bağımsız denetimi çerçevesinde ilgililerce kendilerine tevdi edilen
dokümantasyon ve belgeleri işlerinin gerektirdiği süre içinde iyi niyetle
ve değiştirmeden muhafaza etmekle ve işin bitiminde iade etmekle
yükümlüdürler. Denetim kanıtı oluşturan dokümanların kopyaları yetkili
kuruluş tarafından saklanabilir.
(10) Yetkili kuruluşlar ve bilgi sistemleri
denetçileri, bilgi sistemleri bağımsız denetimi faaliyetleri dolayısıyla
öğrendikleri ve ilgili düzenlemelere göre sır kapsamında bulunan bilgilerin
kendi nezdlerinde korunmasına ilişkin tedbirleri alır, bu bilgileri kanunen
açıkça yetkili kılınanlardan başkasına açıklayamaz ve doğrudan veya dolaylı
şekilde kendilerinin veya başkalarının yararına kullanamazlar.
(11) Denetlenen Kurum, Kuruluş ve Ortaklıklar
tarafından bilgi sistemleri bağımsız denetimine ilişkin bilgi ve belgelerin
bilgi sistemleri denetçilerine verilmemesi halinde bu durum yetkili kuruluş
tarafından Kurula ivedilikle bildirilir.
(12) Yetkili kuruluş, bilgi sistemleri denetiminden
kaynaklanabilecek riskleri de karşılayabilecek kapsamda mesleki sorumluluk
sigortası yaptırmakla yükümlüdür.
(13) Yetkili kuruluş, istihdam ettiği bilgi
sistemleri denetçileri tarafından düzenlenecek çalışma kağıtlarını ve
denetime ilişkin her türlü bilgi ve belgeyi istenildiğinde Kurul’a
göndermek ya da Kurul’un denetime yetkili personeline sunmak zorundadır.
(14) Yetkili kuruluşlar, Seri:X No:22 Tebliği veya
BDS’lerin kıyasen uygulanacak hükümleri için yönetim kurulu onayından
geçirilmiş uygulama yönergeleri hazırlamakla yükümlüdür. Kıyasen
uygulanacak hükümlerde uygulamanın yönlendirilmesinde Kurul yetkilidir.
(15) Bilgi sistemleri denetçileri, son iki yıl
içinde fiilen bilgi sistemleri bağımsız denetim sürecine katıldıkları
Kurum, Kuruluş ve Ortaklıklarda yönetim kurulu başkan ve üyeliği, genel
müdür, müdür ve yardımcılığı ile önemli karar, yetki ve sorumluluğu taşıyan
pozisyonlarda görev alamazlar.
Bilgi
sistemleri bağımsız denetim sözleşmesi
MADDE 20
– (1) Kurum, Kuruluş ve
Ortaklıklar, bilgi sistemleri bağımsız denetimini gerçekleştirecek yetkili
kuruluş ile bilgi sistemleri bağımsız denetim sözleşmesini, denetime tabi
dönemin ilk 4 ayı içerisinde imzalarlar. BDS 210 Bağımsız Denetim
Sözleşmesinin Şartları Üzerinde Anlaşmaya Varılması Standardı hükümleri,
bilgi sistemleri bağımsız denetim sözleşmesi bakımından kıyasen uygulanır.
(2) Bilgi sistemleri bağımsız denetim sözleşmesinin
herhangi bir nedenle imzalanamaması halinde, konu en geç durumun ortaya
çıktığı tarihi izleyen ilk iş gününde Kurula bildirilir.
(3) Bir yetkili kuruluşun, Kurum, Kuruluş ve
Ortaklıklara vereceği bilgi sistemleri bağımsız denetim hizmetinin azami
süresinin belirlenmesinde 13/1/2011 tarihli ve 6102 sayılı Türk Ticaret
Kanununun 400 üncü maddesinin ikinci fıkrası hükmü uygulanır.
(4) Yetkili kuruluşların imzaladıkları bilgi
sistemleri bağımsız denetim sözleşmelerini en geç 6 iş günü içinde Kurula
göndermeleri zorunludur.
(5) Yetkili kuruluş ile Kurum, Kuruluş ve
Ortaklıklar anlaşarak bilgi sistemleri bağımsız denetim sözleşmesini sona erdiremezler.
Ancak Kurum, Kuruluş ve Ortaklıklar ve yetkili kuruluşlar Kurul tarafından
onaylanacak haklı gerekçelerin varlığı halinde, yazılı gerekçe göstermek
koşuluyla bilgi sistemleri bağımsız denetim sözleşmesini Kurul’dan izin
alarak sona erdirebilirler.
(6) Sona erme durumunda, yetkili kuruluş çalışma
notlarını ve gerekli tüm bilgileri, yerine geçecek olan yetkili kuruluşa
devredilmek üzere Kurula teslim etmesi zorunludur.
Denetim
planı
MADDE 21
– (1) BDS 300 Finansal Tabloların
Bağımsız Denetiminin Planlanması Standardı hükümleri, bilgi sistemleri
bağımsız denetiminin planlanması bakımından kıyasen uygulanır.
Denetim
kanıtı, teknikleri, örneklemesi ve kontrol testi
MADDE 22
– (1) BDS 500 Bağımsız Denetim
Kanıtları Standardı, BDS 520 Analitik Prosedürler Standardı ve BDS 530
Bağımsız Denetimde Örnekleme Standardı hükümleri, denetim kanıtı,
teknikleri ve örneklemesi bakımından kıyasen uygulanır.
(2) Bilgi sistemleri denetçisi, test edeceği
kontrollerin kapsamını, önemlilik ilkesini gözeterek ve test edeceği
kontrol kümesinin bilgi sistemleri ile bu sistem üzerindeki kontrollerin
bütününün etkinliği, yeterliliği ve uyumluluğu hakkında makul bir güvence
sağlayacak şekilde belirler.
(3) Bilgi sistemleri kontrollerinin etkin, yeterli
ve uyumlu olduğuna dair görüş verilebilmesi için, incelemeye tâbi tutulan
tüm kontrollerin, tasarım ve işletiminin etkinlikleri ve uyumluluklarının
test edilmesi gerekir.
(4) Bilgi sistemleri denetçisi, denetim riskini
makul düzeye indirebilmek için, test ettiği kontrolle ilişkili önemli veya
kayda değer kontrol eksikliği riskinin yüksek olduğu alanlarda tespit
riskini düşürecek şekilde testlerini detaylandırır, örneklem hacmini
genişletir ve kanıtlarının yeterlilik ve güvenilirlik seviyesini artırır.
(5) Bilgi sistemleri denetçisi kontrole ilişkin
test kapsamını belirlerken ilgili kontrolün uygulanma sıklığı, faal olma
durumu açısından güvenilen süre, kontrollerdeki sapma beklentisi gibi
kontrol karakteristiklerini dikkate alır.
(6) Bilgi sistemleri denetçisi sadece bilgi toplama
tekniğini kullanarak elde ettiği denetim kanıtıyla bir kontrolün etkinlik,
yeterlilik ve uyumluluğuna ilişkin görüş oluşturamaz.
(7) Bilgi sistemleri denetçisi, bir kontrolü test
ederken dikkate alacağı zaman boyutunu denetim döneminin bütününe ilişkin
görüş oluşturacak şekilde belirler.
BEŞİNCİ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim Sonuçlarının
Raporlanmasına İlişkin Esaslar
Tespitler
MADDE 23
– (1) Bilgi sistemleri denetçisi,
yeterli ve uygun denetim kanıtlarıyla desteklemek suretiyle kayda değer
kontrol eksikliklerini ve önemli kontrol eksikliklerini sınıflandırarak
raporlar.
(2) Bilgi sistemleri denetçisi, tespitleri ifade
ederken, denetim amaçlarının gerektirdiği kadarıyla, bu tespitlerin kriter
ve durumlarına ilişkin bilgilere yer verir.
(3) Kontrol zayıflığı olarak tanımlanan tespitler,
bilgi sistemleri denetçisi tarafından denetlenen Kurum, Kuruluş ve Ortaklık
yöneticilerine yazılı olarak iletilir. Bilgi sistemleri denetçisi böyle bir
yazının denetlenen Kurum, Kuruluş ve Ortaklık yöneticilerine iletildiği
ifadesine ve kontrol hedefleri bazında tespit ettiği kontrol
zayıflıklarının sayısına raporunda yer verir.
(4) Bilgi sistemleri denetçisi, geçmiş dönemlerde
tespit edilmiş ve bir önceki dönem raporunda halen giderilmediği ifade
edilmiş olan tüm kontrol zayıflığı ve eksikliklerini raporunda
değerlendirir. Bu kontrol zayıflığı ve eksikliklerinin son durumlarına,
devam edip etmediklerine ve denetlenen Kurum, Kuruluş ve Ortaklıkların
taahhüt ettiği aksiyon planına uyumuna ilişkin açıklamalarına raporunda yer
verir.
(5) Bilgi sistemleri denetçisi, denetimlerinde
tespit ettiği bulguları bu Tebliğin 2 numaralı ekinde yer verilen yönteme
göre kodlar.
(6) Bilgi sistemleri denetçisi, topladığı denetim
kanıtlarına dayanarak sahtecilik, kanuna aykırı uygulamalar, sözleşme
ihlali, suiistimal, çift kayıt sistemi veya mükerrer bilgi sistemleri gibi
hallerden bir veya birkaçının bulunduğu kanaatine varırsa, bu hususlara
raporunda yer verir. Bu hususlar ayrıca sorumlu bilgi sistemleri
başdenetçisi tarafından yazılı olarak Kurul’a ivedilikle bildirilir.
Denetlenen
Kurum, Kuruluş ve Ortaklıkların görüşleri
MADDE 24
– (1) Bilgi sistemleri denetçisi,
tespit edilen eksiklikler, varsa bunlara ilişkin olarak yapılması planlanan
düzeltme çalışmaları ve bu çalışmaların olası sonuçları hakkında denetlenen
Kurum, Kuruluş ve Ortaklıkların görüşlerine raporunda yer verir.
(2) Bilgi sistemleri denetçisi, geçmiş dönemlerde
tespit edilmiş ve bir önceki dönem raporunda halen giderilmediği ifade
edilmiş kontrol zayıflığı ve eksikliklerine ilişkin denetlenen Kurum,
Kuruluş ve Ortaklıkların görüşlerine ve denetlenenin söz konusu zayıflık ve
eksikliğin giderilmesine ilişkin yaptığı çalışmalara raporunda yer verir.
(3) Bilgi
sistemleri denetçisi, denetlenen Kurum, Kuruluş ve Ortaklıkların görüş
bildiremediği veya görüş bildirmeyi reddettiği durumlarda, nedenleriyle
birlikte raporunda yer verir.
Tespitlerle
ilgili sonuç değerlendirmesi
MADDE 25
– (1) Bilgi sistemleri denetçisi,
denetim amaçları, denetim tespitleri ve varsa denetlenen Kurum, Kuruluş ve
Ortaklıkların görüşlerini yorumlayarak kendi çıkarımları ve görüşleri
doğrultusunda değerlendirmelere raporunda yer verir. Bilgi sistemleri
denetçisi, raporunda denetimde tespit edilen hususların nasıl anlaşılması
gerektiği hakkında yorum yapar.
(2) Bilgi sistemleri denetçisi, denetlenen Kurum,
Kuruluş ve Ortaklıkların görüşlerine katılmadığı veya planlanan düzeltme
çalışmalarının uygun olmadığını düşündüğü takdirde buna sonuç
değerlendirmesinde ayrıca yer verir. Bilgi sistemleri denetçisi, denetlenen
Kurum, Kuruluş ve Ortaklıkların görüşlerini haklı bulması halinde, raporda
ilgili düzeltmeleri yapar.
(3) Herhangi bir kontrol zayıflığının ve
eksikliğinin düzeltildiğine dair bir beyanın rapor tarihinden önce denetlenen
Kurum, Kuruluş ve Ortaklık tarafından bilgi sistemleri denetçisine
ulaştırılması durumunda, tespit edilen her bir husus için birer defaya
mahsus olmak koşuluyla, bilgi sistemleri denetçisi denetlenenin beyanını
doğrulamak için bu tespitin son durumunu tahlil eder, kontrol zayıflığının
ve eksikliğinin ortadan kalktığı kanaatine ulaşırsa, düzeltme yapıldığı
bilgisine raporun tespite ilişkin sonuç değerlendirmesi bölümünde yer
verir.
(4) Bilgi sistemleri denetçisi, geçmiş dönemlerde
tespit edilmiş ve bir önceki dönem raporunda halen giderilmediği ifade
edilmiş olan kontrol zayıflığı ve eksikliğine ilişkin tespitlere ait sonuç
değerlendirmesi bölümünde konunun çözümüne ilişkin denetlenen tarafından
aksiyon planına uyumla birlikte, zayıflık ve eksikliğin devam durumunu;
a) devam etmektedir,
b) kısmen düzeltilmiştir veya
c) düzeltilmiştir,
şeklinde raporunda ifade eder.
Bilgi
sistemleri bağımsız denetim raporu
MADDE 26
– (1) Bilgi sistemleri bağımsız
denetim raporu, bilgi sistemleri denetçisinin denetlediği bilgi sistemleri
hakkında oluşturduğu görüşünü içerir.
(2) Denetim
görüşünde bilgi sistemleri ile bu sistem üzerindeki kontrollerin bütününün
etkin, yeterli ve uyumlu olup olmadığı hususuna açıkça yer verilir. Bilgi
sistemleri denetçisi bu husustaki kanaatini BSY Tebliği çerçevesinde oluşturur.
Bilgi
sistemleri bağımsız denetim görüşünün oluşturulması
MADDE 27
– (1) Bilgi sistemleri bağımsız
denetim raporunu imzalamaya yetkili kişiler, yapılan denetim sonucunda
herhangi bir önemli kontrol eksikliğinin bulunmaması ve denetim kapsamında
herhangi bir kısıtlama ya da engelleme ile karşılaşılmaması durumunda,
Tebliğin 3 numaralı ekinde yer alan örneğe uygun olarak olumlu görüş
bildirirler.
(2) Denetim raporunu imzalamaya yetkili kişiler;
a) Yapılan denetim sonucunda en az bir önemli
kontrol eksikliğiyle karşılaşmalarına rağmen, bu eksikliklerin denetlenen
Kurum, Kuruluş ve Ortaklıklar bilgi sistemlerinin bütününü veya büyük bir
kısmını etkilemediğini düşünmeleri,
b) Görüş bildirmekten kaçınmayı gerektirecek önemde
olmamakla birlikte, denetim faaliyetlerini sınırlayan herhangi bir hususun
varlığı veya yeni tesis edilmiş bir sistem hakkında yeterince bilgi
edinememeleri veya
c) Denetim görüşünün oluşturulması için yeterli ve
uygun denetim kanıtının elde edilememesi, durumlarında bu Tebliğin 4
numaralı ekinde yer alan örneğe uygun olarak şartlı görüş bildirirler.
(3) Denetim raporunu imzalamaya yetkili kişiler,
yapılan denetim sonucunda rastlanılan önemli kontrol eksikliklerinin tek
başlarına veya beraber değerlendirildiklerinde,
a) Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi
sistemlerinin bütününü veya büyük bir kısmını etkilediğine ilişkin kanaat
edinmeleri veya
b) Yönetim beyanı ile bilgi sistemleri denetçisinin
denetlen Kurum, Kuruluş ve Ortaklıklar bünyesinde gerçekleştirdiği denetim
sonrasında önemli bir kontrol eksikliğinin bütün önemli taraflarıyla eksik
veya yanlış aktarılmasından kaynaklanan bir farklılık bulunması
durumlarında, bu Tebliğin 5 numaralı ekinde yer
alan örneğe uygun olarak olumsuz görüş bildirirler.
(4) Denetim raporunu imzalamaya yetkili kişiler,
denetim çalışmalarında karşılaşılan belirsizlik ve sınırlamaların görüş
belirtilmesini engelleyecek derecede önemli olduğunu düşündükleri
durumlarda, bilgi sistemleri hakkında görüş bildirmekten kaçınabilirler. Bu
durumda bu Tebliğin 6 numaralı ekinde yer alan örneğe uygun olarak görüş
bildirmekten kaçınılır. Görüş bildirmekten kaçınma durumunda düzenlenecek
raporda, kaçınmaya yol açan nedenlere ilişkin denetçi görüşlerine yer
verilmesi şarttır.
(5) BDS 705 Bağımsız Denetçi Raporunda Olumlu Görüş
Dışında Bir Görüş Verilmesi Standardı, bilgi sistemleri bağımsız denetim
raporunda şartlı veya olumsuz görüş verilmesi ya da görüş bildirmekten
kaçınılması durumlarının raporlanması bakımından kıyasen uygulanır.
Bilgi
sistemleri bağımsız denetim raporlarının temel unsurları
MADDE 28
– (1) Bilgi sistemleri
denetçisinin hazırlayacağı rapor aşağıdaki unsurları içerecek şekilde düzenlenir:
a) Başlık,
b) Raporun sunulduğu merci,
c) Giriş paragrafı,
ç) Denetim çalışmasına ilişkin bilgi,
d) Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi
sistemleri hakkında genel bilgi,
e) Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi
sistemlerine ilişkin iç kontrol ve iç denetim yapısına ilişkin genel
değerlendirme,
f) Denetçi görüşü,
g) Kısaltmalar ve sözlük,
ğ) Ek veya dipnot dizini.
Bilgi
sistemleri bağımsız denetim raporunun kesinleşmesi ve Kurul’a bildirimi
MADDE 29
– (1) Kurum, Kuruluş ve
Ortaklıkların bilgi sistemleri bağımsız denetim raporu, sorumlu bilgi sistemleri
başdenetçisi tarafından imzalandığında kesinleşir. Bilgi sistemleri
bağımsız denetim raporu kesinleşme tarihini izleyen ilk işgünü mesai
bitimine kadar denetlenen Kurum, Kuruluş ve Ortaklıkların yönetim kurulu
başkanlığına teslim edilir. Denetlenen Kurum, Kuruluş ve Ortaklıkların
yönetim kurulu başkanlığınca teslim alınan bilgi sistemleri raporu en geç 5
işgünü içerisinde raporun kabulüne yönelik yönetim kurulu kararıyla
birlikte Kurul’a gönderilir.
(2) Bilgi sistemleri bağımsız denetim raporu,
ilgili denetim döneminin bitimini izleyen 30 gün içinde tamamlanarak
Kurul’a gönderilir. Bilgi sistemleri raporlarının son bildirim gününün
resmi tatil gününe denk gelmesi halinde, resmi tatil gününü takip eden ilk
iş günü, son bildirim tarihidir.
ALTINCI BÖLÜM
Yükümlülükler, Muafiyetler, Yürürlük ve Yürütme
Yükümlülük
ve muafiyetler
MADDE 30
– (1) Borsa İstanbul A.Ş.,
İstanbul Takas ve Saklama Bankası A.Ş., Merkezi Kayıt Kuruluşu A.Ş.,
borsalar ve piyasa işleticileri, teşkilatlanmış diğer pazar yerleri,
merkezi takas kuruluşları, merkezi saklama kuruluşları ve veri depolama
kuruluşları yılda bir kez bu Tebliğ uyarınca bilgi sistemleri bağımsız
denetimi yaptırmak zorundadır. Bu Kurum, Kuruluş ve Ortaklıkların ilk bilgi
sistemleri bağımsız denetimini bu Tebliğin yürürlüğe girdiği yıl için,
izleyen bilgi sistemleri bağımsız denetimini ise bir öncekini izleyen yıl
için yaptırmaları zorunludur.
(2) Kısmî ve Geniş Yetkili Aracı Kurumlar, asgari
özsermaye yükümlülüğü 5 Milyon TL’den fazla olan portföy yönetim
şirketlerinin 2 yılda bir kez bu Tebliğ uyarınca bilgi sistemleri bağımsız
denetimi yaptırmak zorundadır. Bu Kurum, Kuruluş ve Ortaklıkların ilk bilgi
sistemleri bağımsız denetimini bu Tebliğin yürürlüğünü izleyen ikinci yıl
için, izleyen bilgi sistemleri bağımsız denetimini ise bir öncekini izleyen
ikinci yıl için yaptırmaları zorunludur.
(3) Asgari özsermaye yükümlülüğü 5 Milyon TL ve az
olan portföy yönetim şirketleri ve Sermaye Piyasası Lisanslama Sicil ve
Eğitim Kuruluşu A.Ş. üç yılda bir kez bu Tebliğ uyarınca bilgi sistemleri
bağımsız denetimi yaptırmak zorundadır. Bu Kurum, Kuruluş ve Ortaklıkların
ilk bilgi sistemleri bağımsız denetimini bu Tebliğin yürürlüğünü izleyen
üçüncü yıl için, izleyen bilgi sistemleri bağımsız denetimini ise bir
öncekini izleyen üçüncü yıl için yaptırmaları zorunludur.
(4) Dar yetkili aracı kurumlar, halka açık
ortaklıklar, kolektif yatırım kuruluşları, varlık kiralama şirketleri,
emeklilik yatırım fonları, konut finansmanı fonları, varlık finansmanı
fonları, ipotek finansmanı kuruluşları, bağımsız denetim, derecelendirme ve
değerleme kuruluşları, Türkiye Sermaye Piyasaları Birliği ve Türkiye
Değerleme Uzmanları Birliği ve kuruluş ve faaliyet esasları Kurulca
belirlenen diğer sermaye piyasası kurumları bu Tebliğ kapsamında periyodik
olarak bilgi sistemleri bağımsız denetimi yaptırmak zorunda değildir.
(5) Kurul, birinci, ikinci, üçüncü ve dördüncü
fıkralarda belirlenen yükümlülük ve muafiyetleri kısmen veya tamamen
kaldırmaya, bunların kapsam ve içeriğini Kurum, Kuruluş ve Ortaklıklar
bazında değiştirmeye yetkilidir.
Bu
Tebliğde hüküm bulunmayan haller
MADDE 31
– (1) Bu Tebliğde hüküm bulunmayan
hallerde BDS’ler ve mesleki en iyi uygulamalarda yer alan usul ve esaslar
uygulanır.
Geçiş
hükümleri
GEÇİCİ
MADDE 1 – (1) Bankacılık Düzenleme
ve Denetleme Kurumu tarafından bankaların bilgi sistemleri ile bankacılık
süreçlerinin denetimi ile yetkilendirilmiş bağımsız denetim kuruluşları, bu
Tebliğin yürürlüğe girdiği tarihten itibaren 60 gün içinde Kurula başvurmak
kaydıyla sermaye piyasasında bilgi sistemleri bağımsız denetim yapma
yetkisi olmaksızın Kurum, Kuruluş ve Ortaklıkların bilgi sistemleri
bağımsız denetimini 1 yıl süreyle gerçekleştirmek üzere geçici olarak
yetkilendirilebilir. Söz konusu bağımsız denetim kuruluşlarının sonraki
yıllar için Kurul tarafından bu Tebliğ kapsamında yetkilendirilmeleri
gerekmektedir.
(2) 20 nci madde ile getirilen bilgi sistemleri
bağımsız denetim sözleşmesi imzalanmasına ilişkin 4 aylık sınırlama, ilk
denetim dönemi için uygulanmaz.
Yürürlük
MADDE 32
– (1) Bu Tebliğ yayımı tarihinde
yürürlüğe girer.
Yürütme
MADDE 33
– (1) Bu Tebliğ hükümlerini
Sermaye Piyasası Kurulu yürütür.
Ekleri için tıklayınız.
|